Tu sistema se puede atacar.Mejor que seamos nosotros.
Revisamos tu empresa como lo haría un atacante, con tu autorización. Te decimos qué está abierto y cómo cerrarlo.
Reporte de hallazgos
-
Crítico
Panel de administración abierto a internet sin segundo factorRestringir el acceso por red y activar la verificación en dos pasos.
-
Alto
Contraseñas de tres cuentas de empleados en una filtración públicaCambiarlas hoy y revisar en qué otros servicios se usaban.
-
Medio
El dominio permite enviar correos a nombre de la empresaConfigurar SPF, DKIM y DMARC en el dominio.
Un atacante empieza desde afuera
y va entrando.
Revisamos cada capa. Juntas o por separado.
Desde internet
Auditoría externa
Lo que cualquiera ve de tu empresa, sin accesos.
- Dominio
- Correo
- Servidores
- Paneles de administración
Pruebas de ataque
Intentamos entrar por las puertas, como un atacante real.
- Inicio de sesión
- App móvil
- API
- Permisos entre usuarios
Análisis de vulnerabilidades
Fallas conocidas en lo que corre adentro.
- Servidores
- Librerías
- Nube y respaldos
- Base de datos
Fugas de información
Lo tuyo que ya anda circulando afuera.
- Contraseñas filtradas
- Documentos indexados
- Cuentas de gente que ya no está
Gasto generado por abuso
Lo que te cobran por uso y alguien puede disparar.
- SMS y WhatsApp
- Correo transaccional
- APIs de pago y cómputo
¿Cuántas aplican
a tu empresa?
Marca las que reconozcas. Con una basta.
0 de 6 marcadas.
Pide una revisión de seguridadY hay normas
que lo exigen.
Según tu giro y tus clientes, revisar la seguridad no es opcional.
Ley de Datos Personales
Méxicoguardas datos de clientes o empleados. Es decir, cualquier empresa.
medidas de seguridad técnicas y avisar de inmediato si hay una fuga. Multas de hasta 320,000 UMA, el doble con datos sensibles.
CNBV: bancos y fintech
Méxicoeres banco, fintech o les das servicio como proveedor.
escaneo de vulnerabilidades con calendario anual y pruebas de penetración por un tercero certificado, al menos dos al año.
PCI DSS v4
Internacionalcobras con tarjeta o guardas datos de tarjetas.
escaneo de vulnerabilidades cada trimestre y prueba de penetración cada año y tras cambios grandes.
ISO/IEC 27001
Internacionalquieres certificarte o un cliente te lo exige.
gestionar las vulnerabilidades técnicas y probar la seguridad (controles 8.8 y 8.29). El pentest es la evidencia habitual.
SOC 2
EE. UU.vendes software o servicios a empresas de EE. UU.
evidencia de que detectas y corriges vulnerabilidades (CC7.1): escaneos periódicos y pentest.
FTC Safeguards Rule
EE. UU.das crédito o manejas finanzas de consumidores en EE. UU. (agencias de autos, prestamistas, contadores) con 5,000 clientes o más.
prueba de penetración cada año y evaluación de vulnerabilidades cada seis meses.
HIPAA
EE. UU.manejas datos de salud de pacientes en EE. UU.
análisis de riesgos y evaluación técnica periódica de tus sistemas.
También lo piden el GDPR si tienes clientes en Europa, TISAX en la industria automotriz y NIST 800-171 y CMMC si le vendes a defensa o aeroespacial en EE. UU.
No certificamos. Entregamos la evidencia que estas revisiones piden: pruebas, hallazgos y su cierre. Referencias verificadas en octubre de 2026; confirma con tu asesor legal o tu auditor lo que aplica a tu caso.
Un reporte que entiendes
sin ser técnico.
Una página para decidir y el detalle para quien lo cierra.
- Resumen para el dueño Una página: qué cerrar primero y qué puede esperar.
- Detalle técnico Cada hallazgo con evidencia, gravedad y pasos para cerrarlo.
- Sesión de cierre Lo recorremos contigo y con quien lo va a corregir.
Y si quieres, lo cerramos nosotros. Sea un sistema nuestro o de alguien más.
El envío de códigos por SMS no tiene límite
- Qué encontramos
- El inicio de sesión manda códigos por SMS sin límite por número ni por hora.
- Cómo lo comprobamos
- Desde fuera pedimos códigos al mismo número sin parar. Todos se enviaron y se cobraron.
- Qué puede pasar
- Miles de envíos en una noche, pagados por ti, y el proveedor te puede bloquear.
- Cómo se cierra
- Tope por número y por hora, y alerta cuando el consumo se sale de lo normal.
Cuatro pasos.Todo por escrito antes de empezar.
Sabes qué se va a tocar, cuándo y quién se entera.
Alcance y autorización
Qué entra, en qué horarios y qué no se toca. Firmas la autorización y el NDA.
Revisión y pruebas
Desde afuera y, si se acordó, desde adentro. Lo crítico se avisa el mismo día.
Reporte y sesión de cierre
Resumen para decidir, detalle para corregir. Lo recorremos juntos.
Cierre y re-prueba
Lo cierra quien tú decidas. Volvemos a probar y te confirmamos.
Si no encontramos nada grave, también te lo decimos. El reporte sirve como evidencia ante clientes y auditorías.
Pide una revisión de seguridadLo que preguntarías en nuestro lugar.
¿Revisan sistemas que no hicieron ustedes?
Sí, la mayoría. Sistemas de terceros, desarrollos internos o plataformas contratadas. Lo único que necesitamos es que quien contrata sea el dueño del sistema o tenga su autorización por escrito.
¿Esto afecta mi operación?
No debería, y lo acordamos antes: horarios, sistemas y qué no se toca. Las pruebas usan cuentas de prueba y no modifican datos reales más allá de lo necesario para demostrar un hallazgo.
¿Necesito darles accesos?
Para la auditoría externa y las fugas de información, no: trabajamos solo con lo que se ve desde internet. Para pruebas desde adentro, cuentas de prueba que tú creas y das de baja al terminar.
¿Qué pasa si encuentran algo grave?
Te avisamos el mismo día, con lo mínimo para cerrarlo, sin esperar al reporte completo.
¿Cuánto cuesta y cuánto tarda?
Depende de cuántos sistemas entren y de qué tan profundo quieras llegar. El precio y el calendario quedan cerrados por escrito antes de empezar; no trabajamos con presupuestos abiertos.
¿Esto me certifica en ISO 27001 o PCI DSS?
No. La certificación la emite un organismo acreditado. Nuestro reporte es la evidencia de pruebas y gestión de vulnerabilidades que esos procesos exigen, y te sirve para llegar a esa auditoría con el trabajo hecho.
¿Es legal atacar mi propio sistema?
Sí, con autorización por escrito del dueño del sistema. Si lo opera un proveedor, también hace falta la suya, y te ayudamos a pedirla. Sin autorización no hacemos ninguna prueba.
Cuéntanos qué sistemas quieres revisar.
Te respondemos directo, sin compromiso.
Te decimos qué revisión conviene primero y con qué alcance. Respuesta en menos de 24 horas hábiles.